← España

PS-00239-2020

1/13  Procedimiento Nº: PS/00239/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Con fecha 15/07/2020 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por la Compañía de la Guardia Civil de ***LOCALIDAD.1, Comandancia de ***PROVINCIA.1 (en lo sucesivo, el reclamante) con el que anexa cuatro Actas de denuncia instruidas por los agentes durante la inspección efectuada en el restaurante ***RESTAURANTE.1, cuyo titular es A.A.A., con NIE ***NIE.1 (en lo sucesivo, el reclamado), relativas a un presunto incumplimiento de la normativa de protección de datos de carácter personal. La infracción de la normativa de protección de datos en la que se funda la reclamación consiste en que el cartel informativo que anuncia que en el restaurante existe una zona videovigilada no cumple los requisitos exigidos por las disposiciones vigentes. En particular, el cartel no facilita la identidad del responsable del tratamiento ni la posibilidad que tienen los interesados de ejercitar los derechos que les reconocen los artículos 15 a 22 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD). El Acta de denuncia número 162 remitida por el reclamante, en el apartado “Hechos que motivan la intervención”, dice lo siguiente: “...se observa que el establecimiento dispone de los distintivos anunciadores de #Zona Video Vigilada# pero que en los mismos no se recoge la identidad del responsable del fichero y el domicilio ante el cual pueden ejercitarse los derechos de acceso y cancelación de imagen.” En fecha 17/08/2020 se recibió en la AEPD un nuevo escrito del reclamante con el que anexó tres nuevas Actas de denuncia que los agentes instruyeron el 30/07/2020, durante la inspección efectuada en esa fecha en el restaurante del que es titular el reclamado, que versan, también, sobre presuntas infracciones de la normativa de protección de datos relacionadas con el sistema de videovigilancia del establecimiento de hostelería. SEGUNDO: El reclamante remitió a la AEPD anexas a su escrito de reclamación cuatro Actas de denuncia identificadas con los números XXX a XXX. Todas ellas fueron instruidas por los agentes de la Guardia Civil en la misma fecha, el 19/06/2020, durante la inspección realizada en el establecimiento de hostelería titularidad del reclamado. Todas ellas informan de que en el interior del establecimiento hay un sistema de videovigilancia en funcionamiento. Además del Acta de denuncia número 162, cuyo contenido se ha detallado en el Antecedente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Primero, se exponen en el resto, respectivamente, las siguientes presuntas infracciones: Acta de denuncia número 163: “No tener disponibles a disposición del interesado impresos en los que detalle la información prevista en los artículos 2 y 15 a 22 del Reglamento UE 2016/679 o bien disponer de la posibilidad de imprimirlo a petición del interesado”. Acta de denuncia número 164: “Tener un dispositivo de video vigilancia consistente en grabación o almacenamiento de imágenes y no acreditar la inscripción del correspondiente fichero de datos de carácter personal en el Registro General de la AEPD (la mera reproducción o emisión de imágenes en tiempo real, sin ser grabadas ni almacenadas, no exige la notificación de la creación de ficheros, ni por tanto, su notificación a la AEPD”. Acta de denuncia 165: “No encargar la instalación del sistema de video vigilancia a una empresa de seguridad privada debidamente registrada en el caso de que la instalación esté conectada a una central receptora de imágenes”. Con el segundo escrito que el reclamante remitió a la AEPD, recibido el 17/08/2020, anexó tres Actas de denuncia de fecha 30/07/2020 (Actas de denuncia 23 a 25). En ellas se relatan como presuntas infracciones de la normativa de protección de datos las siguientes: “No disponer en zona video vigiladas de al menos un distintivo o cartel informativo en un lugar suficientemente visible” (Acta de denuncia número 23). “No tener a disposición de los interesados impresos en los que se detalle la información prevista en los artículos 15 a 22 del RGPD o bien en dónde obtener más información sobre el tratamiento de los datos personales” (Acta de denuncia número 24). “Tener un dispositivo de video vigilancia en uso y no acreditar la obligación de disponer del Registro de Actividades de Tratamiento” (Acta número 25) A propósito de lo expuesto en las Actas de denuncia que el reclamante ha remitido a esta Agencia, con la excepción del Acta número 162, basta hacer sintéticamente, algunas precisiones. En el contexto del tratamiento de datos mediante un sistema de videovigilancia la información que el responsable del tratamiento debe de tener a disposición de los interesados mediante impresos es la que determina el artículo 13 del RGPD, a excepción de aquella que se ofrece a través del dispositivo o cartel informativo. No, como señala el Acta de denuncia 163 la prevista en los artículos 15 a 22 del RGPD. Que tras la aplicación efectiva del RGPD, ha desaparecido la obligación impuesta por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) de inscribir los ficheros en el Registro General de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 Que, a tenor de lo dispuesto en la Ley 5/2014, de 4 de abril, de Seguridad Privada, artículos 5.1.f, y 5.2, la obligación de contratar con empresas de seguridad privada se refiere a “la instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarmas o a centros de control o de videovigilancia” y en ningún caso se menciona en el Acta de denuncia elemento o indicio alguno que permita pensar que estamos ante esa hipótesis. Esto es, que el sistema de videovigilancia del reclamado estaba conectado a una central de alarmas o a un centro de videovigilancia. TERCERO: La reclamación formulada -identificada con la referencia E/06339/2020- se admitió a trámite en resolución de fecha 04/08/2020, de conformidad con el artículo 65 de la Ley Orgánica 3/2018 de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD). El acuerdo de admisión a trámite se notificó al reclamante por correo postal. El documento de la Sociedad Estatal Correos y Telégrafos, S.A., (en adelante, Correos), “Prueba de Entrega”, que obra en el expediente, acredita la entrega al reclamante el 14/08/2020. CUARTO: Con fecha 03/12/2020 la Directora de la Agencia Española de Protección de Datos acordó iniciar un procedimiento sancionador al reclamado por una presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

  1. b)del RGPD y calificada por la LOPDGDD en su artículo 74.a), a efectos de prescripción, de infracción leve. QUINTO: El acuerdo de apertura del procedimiento sancionador fue notificado al reclamado a través de correo postal el 18/12/2020. Así consta en el documento emitido por Correos, “Prueba de Entrega”, que obra en el expediente. No se tiene noticia en esta Agencia de que el reclamado haya presentado alegaciones al acuerdo de inicio del PS/239/2020. SEXTO: El punto tercero de la parte dispositiva del acuerdo de inicio de este procedimiento acordó incorporar, a efectos de prueba, la reclamación interpuesta por el reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. SÉPTIMO: El artículo 64 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las Administraciones Públicas (en adelante, LPACAP) dispone en su apartado 2.
  2. f)que, “en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” Como se recoge en el Antecedente Quinto de esta resolución, no se tiene noticia en esta Agencia de que el reclamado haya formulado alegaciones al acuerdo de inicio, pese a que el acuerdo se le notificó en la forma prevista legalmente. El acuerdo de inicio del procedimiento sancionador incluía un pronunciamiento preciso sobre la responsabilidad imputada al reclamado por la presunta infracción del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 13 RGPD. Además, se determinaron en dicho acuerdo las medidas correctoras que podrían adoptarse por esta Agencia: (
  3. i)apercibir al reclamado (artículo 58.2.b, RGPD) y (
  4. ii)ordenarle que adopte las medidas precisas para que el tratamiento de datos que realiza a través del sistema de videovigilancia respete la normativa de protección de datos de carácter personal (artículo 58.2.
  5. d)RGPD) A la vista de todo lo actuado, en el presente procedimiento, se consideran probados los siguientes HECHOS PRIMERO: El Acta de denuncia número 162 remitida por el reclamante, en el apartado “Hechos que motivan la intervención” dice lo siguiente: “...se observa que el establecimiento dispone de los distintivos anunciadores de #Zona Video Vigilada# pero que en los mismos no se recoge la identidad del responsable del fichero y el domicilio ante el cual pueden ejercitarse los derechos de acceso y cancelación de imagen.” SEGUNDO: El reclamado no ha formulado alegaciones al acuerdo de inicio del procedimiento sancionador PS/00239/2020. TERCERO: El acuerdo de apertura de este procedimiento fue notificado en forma legal al reclamado, a través de correo postal, el 18/12/2020. Así lo acredita el certificado emitido por Correos, “Prueba de entrega”, que obra en el expediente. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a las autoridades de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Según la definición de “datos personales” que ofrece el artículo 4.1 del RGPD la imagen de una persona física identificada o identificable es un dato de carácter personal y, en consecuencia, está sometida a la protección dispensada por el RGPD. Por lo que respecta al deber de información –que es manifestación del principio de transparencia recogido en el artículo 5.1.a del RGPD- el artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14”. El RGPD determina qué información debe de facilitarse al interesado respecto al tratamiento de sus datos personales y diferencia a tal efecto dos supuestos: que los datos se recaben del propio titular (artículo 13 RGPD) o que se obtengan de otra fuente (artículo 14 RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 El artículo 13 del RGPD dispone: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  6. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  7. b)los datos de contacto del delegado de protección de datos, en su caso;
  8. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  9. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  10. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  11. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  12. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  13. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  14. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  15. d)el derecho a presentar una reclamación ante una autoridad de control;
  16. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  17. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 En cuanto al modo en el que el responsable del tratamiento puede facilitar a los interesados la información que preceptivamente ha de proporcionarles, el artículo 12.7 RGPD indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible, y claramente legible una adecuada visión de conjunto del tratamiento previsto”. Paralelamente, el artículo 22 de la LOPDGDD –“Tratamientos con fines de videovigilancia”- contiene normas específicas en la materia y dice lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Sólo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
  18. c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” Así pues, con ocasión del tratamiento de datos con fines de videovigilancia y con el propósito de que pueda cumplirse de una manera concisa y comprensible el deber de informar al interesado que el artículo 12 del RGPD impone al responsable del tratamiento, el artículo 22.4 de la LOPDGDD prevé un sistema de información por capas. La primera capa habrá de referirse, al menos, a la existencia del tratamiento; a la identidad del responsable y a la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. Esta información se contendrá en un dispositivo o cartel cuyo diseño y ubicación deben ser tales que el afectado tenga una visión clara de la información disponible sobre el tratamiento de sus datos personales y sobre dónde y cómo encontrar la información detallada. No es necesario especificar la ubicación exacta del equipo de videovigilancia, pero sí deberá quedar bien claro la zona sometida a videovigilancia. La información de la segunda capa tiene que estar disponible en un lugar fácilmente accesible para los interesados, como por ejemplo una hoja informativa en una recepción, cajero, etc., o estar colocada en un espacio público visible o en una dirección web y habrá contener el resto de la información que debe de facilitarse conforme al artículo 13 del RGPD. III Tomando en consideración lo expuesto en el Fundamento precedente y el resto de la normativa aplicable en materia de videovigilancia, para que el tratamiento de la imagen de las personas físicas a través de un sistema de videovigilancia sea respetuoso con las disposiciones vigentes deberá de cumplir estos requisitos: - Informar a los afectados en los términos de los artículos 12 y 13 del RGPD y 22 de la LOPDGDD; deber de información que es exponente del principio de transparencia. - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que cumpla los requisitos del artículo 5 de la Ley 5/2014, de 4 de abril, de Seguridad Privada. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en ocasiones, para la protección de espacios privados en los que se hayan instalado cámaras en fachadas o en el interior, puede ser necesario, para garantizar la finalidad de seguridad, la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, extraordinariamente, también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción de espacio público mínimamente necesaria para la finalidad de seguridad que se pretende. - El responsable del tratamiento deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no podrán obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno que es objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, a edificios contiguos o a vehículos distintos de los que accedan al espacio vigilado. Para facilitar la consulta, la Agencia Española de Protección de Datos, a través de su página web [https://www.aepd.es], ofrece acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”); a la Guía sobre el uso de videocámaras para seguridad y otras finalidades y a la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés en el caso de que se realicen tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”) que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo y, en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV Se atribuye al reclamado en el presente expediente sancionador una infracción del artículo 13 del RGPD. El reclamante trasladó a esta Agencia el hecho de que el cartel instalado en el restaurante del reclamado que indica la existencia de una zona videovigilancia no incluía la información que preceptivamente debía de facilitar pues en él no se identificaba al responsable del tratamiento ni constaba que los interesados podían ejercitar los derechos que les reconocen los artículos 15 a 22 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Este extremo ha quedado acreditado en el expediente administrativo a través del Acta de denuncia número 162, instruida por los Agentes de la Guardia Civil con ocasión de la inspección efectuada en el restaurante del reclamado el 19/06/2020. El artículo 77 de la LPACAP dispone en su apartado 5 que “Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario.” A su vez, el artículo 7 de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, establece que “En el ejercicio de sus funciones, los miembros de las Fuerzas y Cuerpos de Seguridad tendrán a todos los efectos legales el carácter de agentes de la autoridad” Así pues, al amparo del artículo 77 de la LPACAP, el hecho comunicado a esta AEPD por el reclamante, que se recoge en el Acta de denuncia 162, se presume veraz salvo prueba en contrario. Esta presunción iuris tantum podría haber sido desvirtuada por la actividad del reclamado durante la tramitación del procedimiento. El reclamado ha podido alegar lo que convenía a su derecho y aportar los medios de prueba que desvirtuaran la prueba de cargo aportada por el reclamado que motivó la apertura de este expediente sancionador. Sin embargo, el reclamado no ha hecho ninguna manifestación ni menos aún una manifestación que impugne la veracidad de la conducta infractora descrita en la citada Acta de denuncia. Pese a estar acreditado que el reclamado recogió personalmente la notificación del acuerdo de apertura del procedimiento, efectuada por correo certificado, escrito en el que se le otorgaba un plazo para formular alegaciones, aportar documentos y proponer los medios de prueba que estimara convenientes para su defensa, no consta en esta Agencia que haya presentado alegaciones al acuerdo de apertura. A mayor abundamiento cabe recordar que según el artículo 5.2 RGPD -relativo al principio de responsabilidad proactiva- incumbe al responsable del tratamiento -al reclamado- la carga de acreditar que el tratamiento de datos que efectúa a través del sistema de videovigilancia instalado en su restaurante facilitaba a los interesados la información de los artículos 12 y 13 del RGPD, por cuanto estos preceptos son manifestación del principio de transparencia previsto en el artículo 5.1.a. RGPD. En el presente caso, la obligación de informar a los interesados en los términos que detalla el artículo 13 del RGPD en el momento de la recogida de sus datos personales -la captación de imágenes a través del sistema de videovigilancia- corresponde al responsable del tratamiento. El artículo 4.7 del RGPD considera “responsable del tratamiento” a “la persona física o jurídica (...) que, solo o junto con otros, determine los fines y medios del tratamiento”. En el supuesto que nos ocupa es el reclamado quien tiene la condición de responsable del tratamiento pues según el Acta de denuncia número 162 remitida a la AEPD por el reclamante él es el titular del establecimiento de hostelería en el que se encuentra el sistema de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 La exigencia de responsabilidad administrativa presupone tanto la identificación del sujeto infractor como su necesaria culpabilidad a título de dolo o culpa al estar proscrita en nuestro ordenamiento jurídico la responsabilidad objetiva (artículo 28 LPACAP). En el presente supuesto, a la luz de las circunstancias que concurren, sólo existen elementos de juicio para apreciar una mera falta de diligencia del reclamado en la vulneración del RGPD que se le imputa. Por tanto, ha quedado acreditado en el expediente que el reclamado efectuó un tratamiento de datos de carácter personal a través del sistema de videovigilancia instalado en el restaurante del que es titular que incumple el artículo 13 del RGPD. Esta infracción se encuentra tipificada en el artículo 83.5.b. del RGPD, precepto que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  19. a)(...)
  20. b)los derechos de los interesados a tenor de los artículos 12 a 22; (...)” A efectos de prescripción, la LOPDGDD en su artículo 74.a. califica de infracción leve, siendo el plazo de prescripción de un año, la vulneración del artículo 13 RGPD tipificada en el artículo 83.5.
  21. b)RGPD: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  22. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679”. V Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en el artículo 58.2, apartados
  23. a)a j). El precepto menciona entre esos poderes correctivos el de dirigir un apercibimiento al responsable o encargado de tratamiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento (artículo 58.2.b.) El de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i.) Y el de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d.) El Considerando 148 del RGPD contempla la posibilidad de sustituir la multa administrativa que los apartados 4, 5 y 6 del artículo 83 del RGPD prevén para las conductas que en ellos se tipifican, por apercibir al responsable o encargado del tratamiento. El Considerando dice lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” A fin de concretar la/s medida/s correctora/s que procede imponer al reclamado por la vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5.b. RGPD, de la que es responsable, se toman en consideración los siguientes elementos relevantes: -El tratamiento de datos que es objeto de valoración en el expediente sancionador –la captación de la imagen de personas físicas a través del sistema de video cámaras instalado- se lleva a cabo en el marco del restaurante ***RESTAURANTE.1; una empresa cuya actividad principal no está vinculada con el tratamiento de datos de carácter personal. -No se tiene constancia de que el reclamado hubiera incurrido anteriormente en otra infracción de la normativa de protección de datos. -No existen elementos de juicio para considerar que la infracción del RGPD de la que el reclamado es responsable tenga carácter intencional. - La imposición al reclamado de la multa administrativa prevista en el artículo 85.3 RGPD supondría para él “una carga desproporcionada” habida cuenta de las características de la actividad empresarial que desarrolla. Se estima por ello, de acuerdo con el Considerando 148 del RGPD, que las medidas que deben imponerse por la vulneración del artículo 13 del RGPD de la que se responsabiliza al reclamado, son las siguientes: Dirigir un apercibimiento al reclamado conforme al artículo 58.2.
  24. b)RGPD. Ordenar al reclamado, conforme al artículo 58.2.
  25. d)RGPD, que adecúe a la normativa vigente el tratamiento de datos que lleva a cabo a través del sistema de videovigilancia instalado. En particular, se le ordena que, en el plazo de 15 días hábiles desde la notificación de esta resolución, el cartel o dispositivo instalado en su establecimiento que indica la existencia de una zona videovigilada informe de la identidad del responsable del tratamiento -esto es, del reclamado- y de la posibilidad que tienen los interesados de ejercitar los derechos que les reconocen los artículos 15 a 22 del RGPD. Por último, se recuerda al reclamado que el incumplimiento por su parte de estas medidas correctoras que la AEPD le impone en la presente resolución por la vulneración del artículo 13 del RGPD, supondría incurrir en una nueva infracción administrativa, que daría lugar a la apertura de un nuevo procedimiento administrativo sancionador dirigido contra él. Tal infracción se encuentra tipificada en el artículo 83.6 RGPD y se sanciona con multa administrativa de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 volumen de negocio total anual global del ejercicio anterior, optándose por la de mayor cuantía. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Dirigir un APERCIBIMIENTO a A.A.A., con NIE ***NIE.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.b. del RGPD. SEGUNDO: ORDENAR a A.A.A., con NIE ***NIE.1, que, en el plazo de quince días hábiles desde la notificación de esta resolución, adopte las medidas necesarias para que el cartel o dispositivo instalado en su establecimiento, que indica la existencia de una zona videovigilada, informe de la identidad del responsable del tratamiento y de la posibilidad que tienen los interesados de ejercitar los derechos que les reconocen los artículos 15 a 22 del RGPD. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: De acuerdo con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.